Siapa Memegang Apa: Pembagian Peran System Integrator dan Penyedia Infrastruktur AI di Proyek Klien

Dalam proyek AI untuk klien enterprise ada tiga peran. Klien memegang keputusan atas data. System integrator memegang solusi dan hubungan dengan klien. Penyedia infrastruktur memegang komputasi, lokasi pemrosesan, dan keamanan lapisan bawah. Proyek jarang gagal di dalam salah satu peran; yang sering gagal adalah titik serah terima di antara ketiganya.

Artikel ini untuk system integrator, software house, dan tim delivery AI yang membangun solusi bagi klien enterprise di Indonesia. Contohnya diambil dari proyek yang kami dampingi bersama salah satu partner system integrator IONext: verifikasi keaslian dokumen untuk tim kepatuhan sebuah grup perusahaan tercatat. Nama klien dan partner tidak disebutkan.

Mengapa pembagian peran ini harus tertulis sekarang?

Karena PP 33/2026, aturan pelaksana UU PDP yang berlaku 16 Januari 2027, mengubah pembagian peran dari kebiasaan kerja menjadi kewajiban yang harus bisa dibuktikan. Dalam kerangka UU No. 27/2022, klien berperan sebagai Pengendali Data Pribadi. System integrator yang membangun dan mengoperasikan sistem AI umumnya berperan sebagai Prosesor. Penyedia GPU cloud, layanan model, atau layanan logging yang dipakai di dalam arsitektur dapat berperan sebagai sub-prosesor.

PP 33/2026 mewajibkan perjanjian penunjukan prosesor memuat muatan minimum, dan penggunaan sub-prosesor memerlukan persetujuan tertulis dari pengendali (Pasal 14 dan 15). Artinya, keputusan seperti "model jalan di GPU siapa" atau "log disimpan di mana" tidak lagi bisa diputuskan diam-diam oleh tim teknis. Keputusan itu harus tercatat, disetujui klien, dan bisa ditunjukkan saat diaudit. Penjelasan lengkapnya ada di artikel PP 33/2026: Dampak untuk Proyek AI.

Contoh kasus: proyek verifikasi dokumen kepatuhan

Per Oktober 2026 proyek ini masih di tahap perancangan pilot. Yang dibahas di sini adalah cara kerjanya, bukan hasil akhirnya.

Kliennya adalah grup perusahaan tercatat dengan banyak anak perusahaan. Tim kepatuhannya kecil, sementara dokumen yang harus diperiksa datang dari seluruh entitas: dokumen legal vendor (NPWP, NIB, akta, sertifikat), referensi bank, kuitansi, klaim reimbursement, dan proposal vendor dalam bentuk PDF. Verifikasi dilakukan manual, sehingga lambat dan hasilnya bisa berbeda antar pemeriksa.

Berikut urutan kerjanya, dan di setiap langkah siapa yang memegang keputusan.

1. Klien yang menentukan urutan prioritas. Partner datang dengan tiga use case: deteksi pola dari laporan whistleblowing, pemeriksaan konflik kepentingan antara vendor dan karyawan, dan verifikasi keaslian dokumen. Rekomendasi awal partner adalah mulai dari use case pertama atau kedua. Klien memilih verifikasi dokumen lebih dulu. Alasannya: jika kemampuan membaca dokumen sudah matang, dua use case lainnya jadi lebih mudah. Partner mengubah urutan rencananya mengikuti alasan itu.

2. Ruang lingkup data dibatasi sejak awal. Pilot hanya mencakup entitas di Indonesia. Anak perusahaan di luar negeri ditunda karena klien belum mau menanggung pertanyaan regulasi data lintas yurisdiksi. Ini keputusan infrastruktur yang diambil di tahap scoping, sebelum satu baris kode ditulis.

3. NDA disiapkan sebelum sampel data berpindah tangan. Template NDA disesuaikan untuk perusahaan tercatat dengan klausul grup perusahaan. Sampel dokumen baru dibagikan setelah NDA berlaku.

4. Workshop kerja dengan data nyata, bukan presentasi. Klien meminta sesi yang langsung mengolah dokumen mereka sendiri, supaya tim kepatuhan bisa melihat cara kerjanya sejak awal. Partner menyiapkan pipeline empat lapis:

   • struktural: metadata dan jejak edit PDF
   • visual: inkonsistensi tanda tangan, stempel, dan kop surat
   • konten: OCR dan LLM untuk memeriksa konsistensi isi, misalnya nominal angka dan huruf
   • eksternal: pencocokan dengan registry publik

   Keluarannya untuk pemeriksa adalah skor keaslian, area mencurigakan yang ditandai langsung di PDF, dan penjelasan dalam bahasa biasa.

5. Tim IT klien bertemu tim infrastruktur secara langsung. Pertanyaan tim IT berbeda dari pertanyaan tim kepatuhan: lokasi pemrosesan, audit log, observability, sertifikasi keamanan, dan cara mengaudit model open-weight. Pertanyaan infrastruktur tidak dijawab dengan perkiraan. Tim infrastruktur IONext hadir untuk menjawabnya dengan dokumen, termasuk sertifikat ISO/IEC 27001:2022.

6. Pertanyaan yang belum terjawab dicatat sebagai utang, bukan disembunyikan. Empat di antaranya: berapa tingkat false positive yang bisa diterima dan siapa yang meninjau hasilnya, bagaimana memverifikasi dokumen yang tidak punya basis data rujukan, apakah verifikasi bisa dijalankan sebelum dokumen masuk ke sistem keuangan, dan bagaimana klien kelak bisa memelihara serta mengembangkan sistemnya sendiri.

Lima dari enam langkah dipegang klien atau system integrator; penyedia infrastruktur masuk ketika ada pertanyaan yang butuh bukti.

Pelajaran dari contoh ini: keputusan yang paling menentukan, seperti urutan use case, batas data, dan lokasi pemrosesan, diambil di minggu-minggu pertama. Keputusan itu lahir dari percakapan klien dengan system integrator, sementara penyedia infrastruktur menjawab pertanyaan yang hanya bisa dijawabnya.

Jelajahi alur perannya

Pilih salah satu dari enam langkah di atas untuk melihat siapa memegang keputusan, apa yang diserahkan ke pihak lain, dan apa yang harus selesai sebelum langkah berikutnya.

Apa yang akan kami lakukan berbeda

Empat hal yang akan kami dan partner lakukan berbeda di proyek berikutnya:

• Libatkan tim IT dan keamanan klien sejak pertemuan pertama. Di proyek ini tim IT hanya ikut sebentar di awal, padahal pertanyaan merekalah yang menentukan kapan pilot boleh berjalan.
• Siapkan template NDA untuk grup perusahaan sejak awal. Perusahaan tercatat dengan banyak anak usaha membutuhkan klausul grup, dan menyesuaikannya di tengah jalan memakan waktu.
• Kunci tanggal workshop bersamaan dengan NDA. Jadwal workshop di proyek ini bergeser dari target awal. Tanggal yang disepakati sejak NDA ditandatangani menjaga momentum dan tenggat siklus anggaran klien.
• Tanyakan kemampuan mana yang membuka jalan bagi yang lain. Klien lebih dulu melihat bahwa membaca dokumen adalah fondasi dua use case lainnya. Pertanyaan ini seharusnya diajukan partner di sesi discovery pertama.

Siapa memegang apa

Tabel ini memetakan aktivitas proyek ke tiga peran. Kolom terakhir menunjukkan apa yang harus diserahkan ke pihak lain, karena di situlah proyek biasanya tersendat.

Titik serah terima yang paling sering bocor

• Sizing dianggap urusan infrastruktur saja. Penyedia infrastruktur tidak bisa menghitung kebutuhan GPU tanpa profil beban dari system integrator. Yang menentukan bukan jumlah pengguna yang login, tetapi jumlah permintaan yang benar-benar diproses GPU pada saat bersamaan. Pada asisten pengetahuan, beban terberat sering datang dari proses ingestion dokumen di awal, bukan dari percakapan sehari-hari.
• Log dan tracing terlewat dari daftar sub-prosesor. Model sudah berjalan di dalam negeri, tetapi layanan tracing yang diaktifkan saat prototyping masih mengirim prompt lengkap ke luar negeri.
• Data sampel bocor sebelum NDA berlaku. Dokumen contoh dikirim lewat email atau chat pribadi agar workshop cepat jalan, lalu tidak pernah dihapus.
• Eskalasi insiden tanpa nama dan nomor. Semua pihak setuju "akan saling mengabari", tetapi tidak ada yang tahu siapa menelepon siapa saat ada masalah di luar jam kerja.
• Struktur tagihan baru dibahas setelah go-live. Klien kaget menerima dua invoice dari dua badan hukum, atau tim pengadaan menolak karena vendor infrastruktur belum terdaftar.

Checklist sebelum kickoff

• Peran pengendali, prosesor, dan sub-prosesor tertulis di kontrak atau addendum.
• Daftar sub-prosesor lengkap, termasuk model, embedding, vector database, logging, dan backup, beserta lokasi pemrosesannya.
• Persetujuan tertulis klien atas daftar sub-prosesor tersebut.
• Batas data pilot disepakati: entitas, wilayah, dan jenis dokumen.
• NDA berlaku sebelum sampel data dibagikan, dengan aturan penyimpanan dan penghapusan sampel.
• Profil beban kerja diserahkan SI ke penyedia infrastruktur sebelum sizing.
• Sesi tanya jawab antara tim IT klien dan tim infrastruktur dijadwalkan sebelum build.
• Jalur eskalasi insiden lengkap dengan nama, kontak, dan target waktu lapor ke klien.
• Struktur penagihan, mata uang, dan dokumen pajak disepakati dengan tim pengadaan klien.

Di mana IONext berperan

IONext mengambil peran penyedia infrastruktur di bawah system integrator, bukan di sampingnya. Hubungan dengan klien, desain solusi, dan dukungan lini pertama tetap dipegang system integrator. IONext menyediakan GPU, managed inference melalui API yang kompatibel dengan OpenAI, dan hosting model open-weight dengan pemrosesan dan penyimpanan di Jakarta.

Untuk titik serah terima di tabel di atas, IONext menyiapkan tiga hal. Pertama, bukti untuk tim IT klien: sertifikat ISO/IEC 27001:2022 dari TÜV NORD Indonesia (No. Registrasi 01 07 E 26000410) beserta ruang lingkupnya, lokasi data, dan kontrol keamanan, semuanya tercantum di halaman Keamanan dan Kepatuhan. Kedua, rekomendasi sizing dari profil beban kerja yang diberikan system integrator; di ORBIT, IONA membantu merekomendasikan konfigurasi VM dan model. Ketiga, penagihan dalam Rupiah melalui badan hukum Indonesia.

Untuk setiap partner system integrator, IONext menyediakan sesi tanya jawab infrastruktur bersama tim IT dan keamanan klien sebelum build dimulai, seperti pada langkah kelima di contoh kasus di atas.

Pertanyaan yang sering diajukan

Apakah system integrator harus mencantumkan penyedia GPU cloud sebagai sub-prosesor? Ya, jika GPU tersebut memproses data pribadi milik klien. PP 33/2026 mensyaratkan persetujuan tertulis dari pengendali untuk penggunaan sub-prosesor.

Siapa yang menanggung jika terjadi insiden di lapisan infrastruktur? Pengendali tetap wajib memberi tahu subjek data dan otoritas paling lambat 3 x 24 jam. Karena itu, kewajiban lapor dari penyedia infrastruktur ke system integrator, dan dari system integrator ke klien, perlu ditulis dengan batas waktu yang lebih pendek.

Apakah memakai infrastruktur di dalam negeri otomatis membuat proyek patuh UU PDP? Tidak. Infrastruktur dalam negeri menyederhanakan pertanyaan tentang lokasi dan transfer data lintas negara. Dasar pemrosesan, DPIA, dan pemenuhan hak subjek data tetap menjadi kewajiban yang harus dijalankan.

Sumber

• UU No. 27 Tahun 2022 tentang Pelindungan Data Pribadi
• PP No. 33 Tahun 2026 tentang Peraturan Pelaksanaan UU No. 27 Tahun 2022
• PP 33/2026: Dampak untuk Proyek AI, IONext Signals
• Arsitektur RAG yang Datanya Tetap di Indonesia, IONext Signals
• Keamanan dan Kepatuhan IONext

Artikel ini merupakan penjelasan umum dan bukan nasihat hukum. Untuk kebutuhan kepatuhan, rujuk naskah resmi peraturan dan konsultasikan dengan penasihat hukum.

IONext adalah infrastruktur AI berdaulat yang di-host di Indonesia, dioperasikan oleh PT Data Awan Nusantara di Jakarta. IONext menyediakan GPU as a Service, managed inference melalui API yang kompatibel dengan OpenAI, dan hosting model open-weight, bersertifikat ISO/IEC 27001:2022 oleh TÜV NORD Indonesia.